В общем я не пойму какой от них профит для получения доступа к админке, если админские куки в wp по-дефолту httponly?

1) Заливка шелла средствами CSRF

2) Редирект/прорисовка фейка, угон реквизитов доступа

Спасибо, а есть инфа какая-нибудь по теме?

Ну чето видео вялое какое-то если честно, я думал там более серьезное покажут действо. Например с использованием той же xss.

Если тебе куки нужны то бывает и с хттп онли можно украсть через ксс, например пхпинфо выводит все куки

А как это в контексте wp использовать?

также как и в контексте любых других сайтов

Может я не догоняю, но при чем phpinfo к xss и как куки можно украсть таким образом?

пхпинфо палит все куки, хттпонли тоже